Come noto l’accountability è uno dei principi generali su cui si fonda il Regolamento UE 2016/679 (GDPR) che all’art. 24 dispone che il responsabile del trattamento è tenuto ad adottare politiche e attuare misure adeguate per garantire ed essere in grado di dimostrare che il trattamento dei dati personali sia avvenuto in modo conforme al Regolamento stesso.
L’accountability, come ormai ampiamente condiviso, porta a definire, sulla base della valutazione dei rischi, le misure che servono alla mitigazione degli stessi, agendo sulle leve di gravità, probabilità e rilevabilità. Le misure sono definite dal Titolare del trattamento sulla base della valutazione dei rischi, che può essere condotta secondo approcci diversi. Il risultato della valutazione è l’IRP - indice di priorità del rischio/risk priority number, che deve essere confrontato con il livello di priorità stabilito sulla base del superamento di una determinata soglia di intervento.
Nel complesso reticolo di figure ed autorizzazioni che un buon assetto di protezione dati prevede, un posto importante va sicuramente riservato alla figura dell’Amministratore di Sistema. Tale figura, già ben inquadrata da un Provvedimento dell’Autorità Garante del lontano 27 novembre 2008, necessità indubbiamente di rinnovata interpretazione visto l’enorme aumento di importanza della funzione IT all’interno delle aziende, ma anche alla luce della necessaria integrazione con il sopraggiunto Gdpr.
A oltre due anni dall'operatività del Gdpr, la sua applicazione si sta consolidando in ogni processo aziendale. Sarà un caso, ma a seguito del lock down causato dal coronavirus, tante entità hanno trovato il tempo per affrontare questa tematica vista ancora come una lunga serie di documenti da redigere e di adempimenti opprimenti e per farlo molto spesso si sono affidate a un consulente che aveva la stessa opinione e che con molta diligenza ha predisposto con cura e attenzione tutta la documentazione prevista, senza fare errori, con un lavoro attento e finalizzato a far riposare tranquillamente il suo cliente.
A quattro anni dall’entrata in vigore del Regolamento europeo 2016/679, molte organizzazioni si trovano in una fase del loro percorso di adeguamento in cui avvertono la necessità di dotarsi di un modello organizzativo che consenta di verificare e documentare nel tempo la compliance agli obblighi normativi nonché agli standard di sicurezza riconosciuti.
Nella mia ormai lunga esperienza di consulente strategico in materia di privacy e protezione dati, sono purtroppo molte le aziende che ho visto sbandierare virtù che in realtà non hanno. Fin dal primo incontro presso la sede della società, o a volte perfino alla prima occhiata al sito web aziendale, spesso sono evidenti delle desolanti carenze che rivelano quanto sia realmente scarsa la sensibilità ai temi di cui mi chiedono di occuparmi.
Il modello dell’accountability del Gdpr richiede un sistema di assicurazione generale della responsabilità civile. Lo stato delle cose ci fa dire che, ormai, bisogna essere pronti a discutere della necessità/opportunità di un sistema di assicurazione obbligatoria della responsabilità civile per danni derivanti dal data processing. Così come bisogna essere pronti a meccanismi di indennizzo forfettizzato e a procedure apposite di media-conciliazione delle controversie in materia di sinistri da circolazione dei dati.
La qualificazione dei soggetti esterni destinatari di dati personali e la corretta individuazione del ruolo soggettivo loro attribuito è un processo complesso, che implica verifiche mirate e che continua a presentare non poche criticità. Nello svolgimento delle attività di trattamento che gli sono proprie, infatti, il titolare del trattamento si trova a dover comunicare i dati personali dell’interessato a diverse categorie di soggetti, o a doverli condividere con gli stessi:
In venticinque anni la privacy ha fatto un passo intero indietro e uno mezzo avanti. Il livello di chiarezza e di adeguatezza delle norme è insufficiente. La difficoltà delle imprese ad adeguarsi è la conseguenza diretta di disposizioni incapaci di esprimere regole certe e prescrizioni comprensibili. A cascata abbiamo la ineffettività della legge e lo scadimento di tutela effettiva della riservatezza (sì, ha ancora un senso usare questa parola). La fiducia degli interessati è diminuita più di quanto sia aumentata la loro consapevolezza (in genere antidoto alla sfiducia). La trasparenza dei trattamenti è opacizzata da surplus (a volte doloso) di informazioni, è facilmente eludibile e non tocca il cuore dei problemi (utilizzo arbitrario dei dati).
L’accountability richiede urgentemente un repertorio europeo sul Gdpr. Ci vuole un catalogo delle pronunce e dei provvedimenti, delle linee guida e dei codici di condotta. Si deve abbinare un massimario dei provvedimenti sanzionatori e degli atti di rilevanza generale. Bisogna costruire, e siamo già in ritardo, il digesto europeo del Gdpr o se si preferisce il data base europeo, indicizzato e di pronto utilizzo, in tutte le lingue dei paesi in cui si applica il Gdpr.
